管理策とは？かんりさく
管理策とは、リスク対応の方針を実際の行動に落とし込むために組織が実施する具体的な対策で、JIS Q 27001では組織的管理策・人的管理策・物理的管理策・技術的管理策の四つに区分される。これとは別に、事故を未然に防ぐ予防、起きたことに気付く検知、起きた後に直す是正という管理策タイプの区分もある。規程の整備・教育・入退室管理・アクセス制御がそれぞれどれに当たるかが出題の中心。
最終更新：2026-10-06
この語が出る過去問を解く →背景
リスクアセスメントで「この情報漏えいリスクは大きい」と分かっても、それだけでは誰も動けない。担当部署・費用・期限を割り当てられる粒度まで落とさなければ実行されず、監査でも実施したかどうかを確認できない。管理策は、リスク対応という方針を検証可能な行為へ変換するための単位である。利用部門の情報セキュリティリーダーは自部門の要求事項を取りまとめる立場に立つため、この試験では区分の判別が繰り返し問われる。
具体例
JIS Q 27001の附属書Aは管理策を一覧にしたもので、ISMS認証の審査機関はこれを基準に実施状況を確認する。「委託先と秘密保持契約を結ぶ」は組織的管理策、「入退室にICカードを使う」は物理的管理策、「標的型メール訓練を毎年実施する」は人的管理策、「共有フォルダに権限を設定する」は技術的管理策にあたる。
試験での引っ掛け
管理策はリスク対応を実現する手段であって、低減・回避・共有（移転）・保有（受容）というリスク対応の選択肢そのものではない。また附属書Aの一覧はあくまで候補であり、すべてを実施する義務はない。採用しない管理策は適用宣言書に理由を書けばよく、「全項目の実施が必要」と考えると誤答する。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問37（IPA）解説で登場
JIS Q 27001に準拠してISMSを運用している場合、内部監査について順守すべき要求事項はどれか。
正解：監査プログラムには前回までの監査結果を考慮しなければならない。
要点：内部監査は前回結果を考慮して監査計画を立てる
JIS Q 27001は内部監査について、監査プログラムの計画・実施・報告の責任を定め、対象となるプロセスの重要性と前回までの監査結果を考慮して監査プログラムを計画することを要求している。監査員の資格を認証機関の研修修了者に限定する要求や、監査責任者を代表取締役が任命せよという要求はない。監査範囲も附属書Aの管理策に限らず、ISMSの要求事項全般と組織自身が定めた要求事項が対象となる。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問37（IPA）
スプレッドシートの利用に係るコントロールの監査において把握した，利用者による行為のうち，指摘事項に該当するものはどれか。
正解：スプレッドシートに組み込まれたロジックを，業務上の必要に応じて，随時，変更し上書き保存していた。
要点：スプレッドシートのロジック変更は承認と履歴管理が要る
スプレッドシートは利用者が自由に数式を書き換えられるため、変更管理が効かないと計算結果の正確性を担保できない。業務上の必要があっても、承認や記録を経ずに随時ロジックを変更して上書き保存する運用は、統制が働いておらず指摘事項となる。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問38（IPA）
入出金管理システムから出力された入金データファイルを，売掛金管理システムが読み込んでマスタファイルを更新する。入出金管理システムから売掛金管理システムへ受け渡さ…
正解：入金額及び入金データ件数のコントロールトータルのチェック
要点：システム間の受渡しは金額と件数の合計照合で網羅性を確保する
システム間でデータを受け渡すときは、金額の合計や件数といったコントロールトータルを送信側と受信側の双方で集計し、一致を確認する。これにより、データの欠落や重複、値の破損がないこと、すなわち網羅性と正確性を担保できる。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問36（IPA）
特権ID（システムの設定、データの操作、それらの権限の設定が可能なID）の不正使用を発見するコントロールとして、最も有効なものはどれか。
正解：特権IDの貸出し及び返却の管理簿と、特権IDの利用ログを照合する。
要点：発見的統制の要は貸出記録と実利用ログの突合
「発見するコントロール」を問うている点が要点である。貸出し・返却の記録と実際の利用ログを突き合わせれば、許可されていない時間帯や人物による特権IDの使用を事後に検出できる。他の選択肢は不正の機会を減らす予防的なコントロールであり、発見には直接つながらない。
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。